2 août 2026 : ce que l'IA Act impose déjà aux entreprises

L'IA Act application 2026 est entrée dans sa phase la plus visible le 2 août dernier. Ce jour-là, la majorité des règles du règlement européen sur l'intelligence artificielle, entré en vigueur le 1er août 2024, sont devenues applicables dans les vingt-sept États membres, selon la Commission européenne. Concrètement, cela signifie que des obligations concrètes pèsent désormais sur les entreprises qui utilisent des chatbots, génèrent des images ou publient des contenus fabriqués par une IA.

Le règlement ne s'applique pas d'un seul bloc. Il avance par étapes depuis 2025 et continuera jusqu'en 2028, ce qui explique la confusion fréquente entre ce qui est déjà obligatoire et ce qui reste à venir.

Une entrée en application par vagues successives

Le texte prévoit un calendrier échelonné plutôt qu'une bascule unique. Chaque étape correspond à une catégorie de systèmes ou d'usages.

Les premières échéances, déjà passées

Deux jalons sont antérieurs à l'été 2026. D'abord, le 2 février 2025, les pratiques d'IA jugées inacceptables (comme le scoring social) ont été interdites, et l'obligation de maîtrise de l'IA prévue à l'article 4 est entrée en application, selon la Commission européenne. Cette obligation de "littératie IA" s'impose dès qu'une équipe déploie ou utilise un système d'IA, même de façon occasionnelle, précise La Voix du Nord dans son édition du 18 septembre 2026. Ensuite, le 2 août 2025, les règles de gouvernance et les obligations pesant sur les modèles d'IA à usage général (GPAI), comme ChatGPT ou d'autres grands modèles de langage, sont devenues applicables : documentation technique, politique de respect du droit d'auteur, publication d'un résumé des données d'entraînement.

Le tournant du 2 août 2026

C'est la date-pivot. Selon le site DSIH, elle marque l'application des obligations de transparence de l'article 50, le début effectif des mesures de soutien à l'innovation, et surtout le démarrage de la supervision et du contrôle au niveau national et européen. Depuis cette date, chaque État membre doit disposer d'au moins un bac à sable réglementaire pour l'IA, selon le calendrier officiel de la Commission européenne. En France, c'est notamment la CNIL qui dispose désormais de pouvoirs de contrôle, rapporte La Voix du Nord.

Ce qui reste reporté à 2027 et 2028

Les obligations les plus lourdes, celles qui concernent les systèmes classés à haut risque (recrutement, notation de crédit, éducation, biométrie), ont été reportées par le règlement (UE) 2026/1744, dit Digital Omnibus sur l'IA, publié le 24 juillet 2026. Elles n'entreront en application que le 2 décembre 2027 pour les systèmes autonomes, selon Blog du Modérateur. Pour les systèmes à haut risque intégrés à des produits déjà réglementés, comme les dispositifs médicaux, les jouets connectés ou les machines industrielles, l'échéance est repoussée au 2 août 2028. Les fournisseurs et déployeurs de systèmes à haut risque utilisés par des autorités publiques bénéficient d'un délai supplémentaire, jusqu'au 2 août 2030, précise DSIH.

Ce que la transparence impose concrètement depuis août 2026

L'article 50 du règlement, désormais applicable, ne interdit rien : il impose d'informer. Selon LegalPlace, une personne doit pouvoir savoir quand elle parle à une machine, et quand un contenu qu'elle voit a été fabriqué par une IA. L'obligation ne porte pas sur le fait d'utiliser l'IA, mais sur des situations précises.

Les chatbots et assistants virtuels

Les chatbots de service client, les assistants virtuels et les agents conversationnels installés sur un site ou une messagerie doivent désormais informer clairement l'utilisateur qu'il interagit avec une IA, sauf si cela est évident, selon Brief IA. L'information doit être donnée au plus tard au moment du premier échange. Un bouton clairement nommé "assistant virtuel" suffit à remplir cette obligation, mais une mention en tout petit en bas de page ne convient pas, précise LegalPlace.

Les contenus générés ou manipulés

Les deepfakes et les contenus (image, audio, vidéo, texte) générés ou manipulés par une IA doivent être identifiés comme tels. Les fournisseurs de systèmes déjà commercialisés avant le 2 août 2026 bénéficient toutefois d'un délai de transition supplémentaire jusqu'au 2 décembre 2026 pour se conformer à cette obligation de marquage, selon artificialintelligenceact.eu.

Les contenus d'intérêt public

Un cas particulier concerne les textes publiés pour informer l'audience sur des sujets politiques, sanitaires ou sociétaux. Si le texte a fait l'objet d'un examen humain ou d'un contrôle éditorial, et qu'une personne assume la responsabilité éditoriale de sa publication, l'information sur l'origine artificielle n'est pas exigée, indique LegalPlace. Un article relu et publié sous la responsabilité d'un éditeur identifié ne devient donc pas automatiquement un contenu à signaler.

Les interdictions et sanctions financières

Deux nouvelles interdictions entreront en vigueur le 2 décembre 2026, en plus de celles déjà actives depuis février 2025 : les systèmes générant du contenu intime non consenti, dits de "nudification", et ceux produisant des contenus pédopornographiques, selon Brief IA et Blog du Modérateur.

Sur le plan financier, les sanctions sont graduées selon la gravité du manquement. Le non-respect de l'interdiction des pratiques inacceptables en matière d'IA est sanctionné par des amendes pouvant aller jusqu'à 35 millions d'euros ou, pour une entreprise, jusqu'à 7 % de son chiffre d'affaires annuel mondial, selon Vie Publique. Pour les manquements aux obligations de transparence, les amendes peuvent atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial, un principe de proportionnalité étant applicable aux PME et aux petites entreprises à capitalisation moyenne, précise DSIH.

Tableau récapitulatif des échéances

Qui est concerné dans la chaîne de valeur

Le règlement distingue plusieurs rôles, chacun avec des obligations différentes selon LegalPlace et le livre blanc de Lefebvre Dalloz :

• Le fournisseur développe le système d'IA et le met sur le marché de l'Union européenne, qu'il soit établi en Europe ou non.
• Le déployeur utilise un système d'IA dans le cadre de son activité professionnelle : générer des visuels, installer un chatbot, préparer des contenus avec un modèle de langage.
• Les distributeurs et importateurs interviennent dans la mise à disposition du système sur le marché sans en être les concepteurs.
• Un usage strictement personnel de l'IA, hors activité professionnelle, n'est pas visé par le règlement.
• Le champ d'application territorial est particulièrement large : le règlement s'applique aussi lorsque les données de sortie générées par un système sont exploitées dans l'Union européenne, même si le fournisseur est établi hors UE, selon le livre blanc de Lefebvre Dalloz.

Ce que les entreprises doivent mettre en place dès maintenant

Pour les systèmes à haut risque, les obligations renforcées ne s'appliqueront qu'en décembre 2027 ou en 2028 selon les cas, mais les entreprises concernées ont intérêt à anticiper. Selon les Éditions Tissot, il faudra mettre en place un système de gestion des risques, une gouvernance stricte des données, une documentation technique complète, un dispositif de supervision humaine, des exigences de précision et de cybersécurité, ainsi qu'un processus de conformité incluant le marquage CE et l'enregistrement dans une base européenne.

Questions frequentes

Qu'est-ce qui change concrètement le 2 août 2026 ?

Les obligations de transparence de l'article 50 deviennent applicables : les chatbots doivent signaler qu'ils sont des IA, et les contenus générés ou manipulés doivent être identifiables comme tels. C'est aussi la date à laquelle la CNIL et les autorités nationales commencent officiellement à contrôler l'application du règlement.

Mon entreprise utilise un chatbot sur son site, que dois-je faire ?

Si l'entreprise déploie ce chatbot dans le cadre de son activité, elle est "déployeur" au sens du règlement. Elle doit informer clairement l'utilisateur qu'il échange avec une IA, au plus tard lors du premier échange, sauf si cela est déjà évident pour une personne raisonnablement informée.

Les systèmes d'IA à haut risque sont-ils déjà interdits ou encadrés ?

Non, pas encore pleinement. Le règlement (UE) 2026/1744 a reporté les obligations les plus strictes concernant le recrutement, l'éducation, la biométrie ou la notation de crédit au 2 décembre 2027 pour les systèmes autonomes, et au 2 août 2028 pour ceux intégrés à des produits déjà réglementés.

Quelles sanctions risque une entreprise qui ne respecte pas l'IA Act ?

Les amendes vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, et jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires mondial pour les manquements aux obligations de transparence, avec un principe de proportionnalité pour les PME.

Qui contrôle l'application du règlement en France ?

Depuis le 2 août 2026, chaque État membre doit avoir mis en place son cadre répressif. En France, c'est notamment la CNIL qui dispose de pouvoirs de contrôle, aux côtés d'autres autorités compétentes désignées au niveau national.